AI 도움으로 드러난 PHP 취약점 두 건, 서버 업데이트해야

PHP 프로젝트가 10월 21일(현지시간) 심각한 보안 취약점 두 건을 고친 수정판을 공개했다. 취약점 번호는 CVE-2026-109618과 CVE-2026-109619다. 연구진은 특정 조건에서 로그인 같은 인증 절차 없이 서버에서 코드를 실행시키는 공격을 입증했다. 보안 위험도 점수는 두 건 모두 10점 만점에 9.2점이다.

어떤 서버가 업데이트 대상인가

PHP 프로젝트는 웹 요청을 처리하는 모든 PHP 설치에 업데이트를 권고했다. 특히 웹서버 Apache에 PHP를 붙여 쓰는 ‘mod_php’ 구성에서는 사이트가 만든 코드가 실행되기도 전에 공격이 가능했다고 밝혔다. 사이트 쪽 코드를 아무리 점검해도 막기 어려운 단계라는 뜻이다.

두 결함은 모두 서버가 작업에 쓰는 메모리를 관리하는 과정에서 생긴다. 하나는 메모리 한도에 도달했을 때 준비가 덜 된 내부 데이터를 정상 데이터처럼 처리하는 문제다. 다른 하나는 앞선 요청에서 이미 쓰고 버린 메모리를 가리키는 정보가 다음 요청까지 남는 문제다. 연구진은 이 두 결함을 특정 조건에서 원격 공격으로 연결했다.

2024년에 이미 알았는데 왜 늦었나

PHP 재단에 따르면 두 결함 가운데 메모리 한도 문제의 첫 징후는 2024년 외부 보안 감사 과정에서 파악됐다. 당시에는 서버에서 코드를 실행시키는 구체적인 공격 경로까지는 확인하지 못했다. 수정안이 기존 소프트웨어와 충돌하거나 성능에 영향을 주는 문제도 해결을 늦췄다. 재단은 보안팀의 의사 결정 과정과 인력 부족에서 비롯된 구조적 실패를 인정했다.

공격 가능성을 구체화한 계기는 후속 보안 연구였다. 보안업체 Calif는 2026년 7월 30일 점검을 시작해 8월 11일 실제로 작동하는 공격 경로를 보고했다. 오픈AI와 Wiz도 관련 경로를 보고했다. 연구자는 취약점을 분석할 때 AI 도구의 도움을 받았다고 설명했다.

PHP 재단은 공개 전에 유출된 위험도 10.0점이 잘못된 수치이며 실제 점수는 9.2점이라고 밝혔다. 또 수정판을 공개한 시점까지 작동하는 외부 공격 코드는 확인하지 못했다고 설명했다.

국내 운영자는 무엇을 해야 하나

수정 버전은 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35다. 10월 21일부터 해당 버전을 내려받거나 운영체제 배포판의 수정 패키지로 갱신할 수 있다. PHP 프로젝트는 설정 변경만으로는 취약점을 완전히 막을 수 없고 업데이트가 필요하다고 명시했다.

한국에서 운영하는 서버도 웹 요청을 처리하는 PHP라면 같은 업데이트 대상이다. 운영자는 쓰고 있는 PHP 버전을 확인하고, 운영체제 배포판이나 공급업체가 내놓은 수정 패키지도 함께 살펴야 한다. PHP 8.1 이하 버전은 프로젝트의 정규 지원이 끝났다. 이 경우에는 이용 중인 배포판이나 장기 지원 업체가 따로 수정했는지 확인해야 한다.

오래된 결함의 실제 공격 가능성을 밝히는 연구에 AI가 쓰인 사례다. 동시에 PHP 재단이 인정한 수정 지연은 결함을 발견한 뒤의 대응 과정이 얼마나 중요한지도 보여준다. PHP로 웹서비스를 운영하는 곳에는 수정판 적용이 당장의 과제다. 그다음은 공개 이후의 공격 동향과 공급업체별 수정 패키지 반영 상황이다.